Generative KI optimiert Internal Investigations entlang der gesamten Erkenntniskette: Sie durchforstet Datenberge in Stunden statt Wochen, erkennt Muster und unterstützt Interviews mit Fragenkatalogen und Transkriptionen in Echtzeit. Der Einsatz von künstlicher Intelligenz ist gelebte Praxis – die rechtliche Einordnung hinkt hinterher.
Die Illusion des Verstehens
Moderne Sprachmodelle, auch Large Language Models (LLM) genannt, „verstehen“ Sprache nicht wie ein Mensch, sondern berechnen die Plausibilität von Wortfolgen. Sie können eloquent den Weg zu einem Ergebnis erklären – doch diese Erklärung ist selbst nur wieder erzeugter Text, keine protokollierte Rechenspur. Anders als klassische Software, deren Programmschritte sich exakt zurückverfolgen lassen, ist der Weg eines LLM durch Milliarden Parameter selbst für seine Entwickler nicht deterministisch rekonstruierbar und dadurch für den Anwender nicht transparent.
Sprachgewandtheit ist also nicht mit Verstehen zu verwechseln, eine plausible Begründung nicht mit einem nachvollziehbaren Entscheidungsweg. Für Internal Investigations heißt das: Die Fähigkeit, Zwischenschritte in natürlicher Sprache zu formulieren, mildert das klassische Black-Box-Problem – sie beseitigt es nicht. Wer KI-Ergebnisse wie den Rat eines Experten sieht, sollte sie auch so behandeln: mit eigener Plausibilitätsprüfung, nicht mit blindem Vertrauen.
Warum ist das relevant?
Wie gefährlich intransparente Risikoindikatoren sind, zeigt die niederländische SyRI-Entscheidung zur „Kindergeldaffäre“: Hier wurde niederländischen Familien, die „Kinderbetreuungszuschüsse“ beantragten, zu Unrecht Betrug vorgeworfen (Rechtbank Den Haag, Urteil vom 05.02.2020). Schon die Intransparenz algorithmischer Risikoindikatoren macht ein System rechtswidrig – unabhängig vom Nachweis eines diskriminierenden Einzelergebnisses.
Dieselbe Gefahr besteht, wenn scheinbar neutrale Merkmale wie Kommunikationsfrequenz mit bestimmten Standorten oder Sprachmustern unbemerkt in Scores einfließen und mittelbar diskriminieren. Der Europäische Gerichtshof (EuGH) hat im SCHUFA-Urteil klargestellt, dass bereits ein automatisiert erstellter Score eine „Entscheidung“ im Sinne von Art. 22 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) ist, wenn er das spätere Handeln maßgeblich determiniert (EuGH, Urteil vom 07.12.2023 – C-634/21). Die menschliche Letztkontrolle nach Art. 22 Abs. 3 DSGVO darf sich deshalb nicht in der routinemäßigen Übernahme des KI-Vorschlags erschöpfen, sondern muss einen dokumentierten, echten Entscheidungsspielraum abbilden.
Wer haftet wofür?
Kanzleien und Wirtschaftsprüfer, die Investigationssoftware per Software-as-a-Service (SaaS) lizenzieren, sind Betreiber im Sinne von Art. 3 Nr. 4 der Verordnung über künstliche Intelligenz (KI-VO), nicht Anbieter. Das entscheidet über das Pflichtenprogramm: Anbieter tragen die primären Konformitätspflichten, Betreiber müssen die Software bestimmungsgemäß verwenden und nach Art. 26 KI-VO menschliche Aufsicht sicherstellen.
Ob der Einsatz dem Hochrisikobereich nach Art. 6 Abs. 2 in Verbindung mit Anhang III Nr. 4 lit. b KI-VO unterfällt, ist umstritten. Überzeugend erscheint eine funktionale Betrachtung: Wer nur sucht und sortiert, ohne Mitarbeitende individuell zu bewerten, bewegt sich in der Ausnahme des Art. 6 Abs. 3 KI-VO. Wer dagegen Risikoscores erzeugt oder Stimmen und Emotionen in Interviews analysiert, betreibt ein Hochrisikosystem mit den vollen Pflichten der Art. 9 ff., 26 f. KI-VO. Auch unterhalb dieser Schwelle bleibt niemand haftungsfrei: Art. 4 KI-VO verlangt KI-Kompetenz beim eingesetzten Personal, und die Grundsätze der Art. 8 ff. KI-VO wirken als Vorbild für jedes Risikomanagement.
Wer beim KI-Einsatz Fehler macht, zahlt womöglich mehrfach. Die KI-VO selbst droht Betreibern von Hochrisikosystemen mit Bußgeldern bis 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes, bei verbotenen Praktiken sogar bis 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes (Art. 99 KI-VO).
Parallel bleibt die DSGVO anwendbar: Datenschutzverstöße können zusätzlich mit bis zu 20 Millionen Euro oder 4% des Jahresumsatzes sanktioniert werden (Art. 83 DSGVO), hinzu treten Schadensersatzansprüche nach Art. 82 DSGVO. Schließlich haften Unternehmen für Complianceverstöße nach §§ 30, 130 des Gesetzes über Ordnungswidrigkeiten (OWiG) mit bis zu 10 Millionen Euro. Ein rechtswidriger KI-Einsatz innerhalb einer internen Ermittlung kann damit selbst zur eigenständigen Ordnungswidrigkeit werden, die den gerade durch die Ermittlung verfolgten Effekt entwertet. Diese Bußgeldregime greifen kumulativ, nicht alternativ – ein Compliancekonzept, das nur die KI-VO im Blick hat, greift zu kurz.
Zivilrechtliche Grenzen
Schon vor dem ersten Algorithmenlauf drohen Hürden, denn der Betriebsrat muss rechtzeitig eingebunden werden. Das Arbeitsgericht Hamburg verneinte ein Mitbestimmungsrecht nur, weil Mitarbeitende ausschließlich private ChatGPT-Accounts nutzten (Beschluss vom 16.01.2024 – 24 BVGa 1/24). Bei unternehmenseigenen Investigationstools liegt der Fall spiegelbildlich: Nach ständiger Rechtsprechung des Bundesarbeitsgerichts (BAG) genügt für § 87 Abs. 1 Nr. 6 des Betriebsverfassungsgesetzes (BetrVG) bereits die objektive Eignung der Software zur Überwachung, unabhängig von der konkreten Absicht.
Die maßgebliche Erlaubnisnorm für Datenverarbeitung von Arbeitnehmern ist § 26 des Bundesdatenschutzgesetzes (BDSG). Eine intensive Kontrollmaßnahme ist jedoch nicht „ins Blaue hinein“ zulässig. KI-gestütztes Screening neigt systembedingt dazu, auch Anomalien außerhalb des eigentlichen Untersuchungsgegenstands zu finden. Ohne präzise Themen- und Zeitraumfilter vorab wird aus der Ermittlung schnell eine unzulässige Vollüberwachung. Die Folge ist nach dem Keylogger-Urteil des BAG ein verfassungsrechtliches Beweisverwertungsverbot, da das Recht auf informationelle Selbstbestimmung verletzt wird (BAG, Urteil vom 27.07.2017 – 2 AZR 681/16).
Strafrechtliche Entwicklung
Wo KI-Systeme Mitarbeitende fortlaufend beobachten, rückt auch das Strafrecht in den Blick. Schon jetzt drohen bei unbefugter heimlicher Datenerhebung die §§ 201 ff. des Strafgesetzbuchs (StGB). Ein noch nicht in Kraft getretener Referentenentwurf des Bundesministerium der Justiz und für Verbraucherschutz (BMJV) würde die Lücke weiter schließen: § 202e StGB-E soll die „unbefugte Überwachung mittels Informations- oder Kommunikationstechnik“ unter Strafe stellen, wenn Aufenthaltsort oder Tätigkeit einer Person wiederholt oder ständig überwacht werden und dies wahrscheinlich zu schwerem Schaden führt. Ein dauerhaft aktives Monitoringtool, das Kommunikationsverhalten von Beschäftigten fortlaufend auswertet, könnte künftig genau hierunter fallen – ein Risiko, das Investigationsteams schon heute bedenken sollten.
Fazit und Praxisauswirkungen
Diese Problemfelder laufen organisatorisch in einer gemeinsamen Pflicht zusammen: einem dokumentierten Qualitäts- und Risikomanagement, das aufsichtsrechtliche, datenschutzrechtliche und arbeitsrechtliche Anforderungen synchronisiert. Die Auswahl eines zertifizierten Produkts genügt nicht; nötig sind fallbezogene Konfiguration und eine dokumentierte menschliche Letztkontrolle. Zwar mindert die Fähigkeit von LLM, Zwischenschritte in natürlicher Sprache zu erklären, das klassische Black-Box-Problem und stützt damit die prozessuale Beweiskraft – funktional vergleichbar mit den Vorgaben eines Partners an einen Associate. Doch genau hier verlagert sich Verantwortung vom menschlichen Berater auf die organisatorische Complianceebene des Unternehmens: Wer die KI ungenügend anleitet oder nicht hinreichend überwacht, haftet für Organisationsverschulden – im Innenverhältnis wegen mangelhafter Mandatsausübung, im Außenverhältnis gegenüber Mitarbeitenden wegen Persönlichkeitsrechtsverletzung, ordnungswidrigkeitsrechtlich gleich mehrfach; hinzu kommt ein empfindlicher strafrechtlicher Vorwurf gegen die Verantwortlichen. Der KI-Einsatz in Internal Investigations ist damit kein rechtsfreier Effizienzgewinn, sondern eine Aufgabe, die umfassende Sorgfalt verlangt.
